比如設計api的時候，存在2個合法的調用方，比如a和b；api分為2類：部分api需要獲取到調用方的身份信息（只是拿身份信息作為輸入，比如插表或者查詢條件），部分不需要a調用全部api的時候，因為a是在某網站里面調用（ajax），所以登錄了，能獲取到身份信息。b直接調用不需要用戶信息的api（但是這些api也會被a調用）
問題。如果我做個攔截器，攔截所有api請求（限制條件為，必須登錄才能調用），那么對b是不合理的。因為b調用的api不需要身份信息如果我不攔截請求，那么所有api對所有的人都是public的了，任何人都可以調用不需要身份信息的api，存在安全風險。
所以想問下如何處理？
看了下Jwt，好像不太適合應用場景
4 回答
蠱毒傳說
TA貢獻1895條經驗 獲得超3個贊
我簡單的給你說下思路，你所謂的攔截器應該是過濾器才是，我沒寫過Java，但是接口倒是寫過一些，我給你說下簡單的思路
過濾器(也許是你說的攔截器)
接口編寫需要注意的大概步驟
- accessToken 判定(即使非登陸用戶也可以通過特定接口授權一個動態的accessToken，看情況而定)
- 權限判定(可以包含路由選擇,你對應的接口有相對應的權限需求，不是說統一暴力的根據是否登陸來攔截，而是根據該接口所需要的權限和訪問者是否具備訪問該接口的權限來做攔截判定)
- SQL 、XSS 之類的常規過濾攔截，特殊符號轉換
- 參數化所有接受請求的參數
- 邏輯處理(如果有refer或者接口請求次序的支持需要，可以根據接口產生接口session)
- 數據相應與返回
- 標準化請求參數，數據返回類型
- 文檔說明
以上只是編寫一個接口的一個簡單過程，可以根據自己的實際需求做完善和修改,因為不知道你實際的應用場景,為了安全性可能還需要做更多的安全校驗
添加回答
舉報
0/150
提交
取消